Raport Bezpieczenstwo IT w polskich firmach
•
0 j'aime•1,171 vues
Według autorów raportu „BEZPIECZEŃSTWO IT W POLSKICH FIRMACH”, polskie przedsiębiorstwa mają problemy z zapewnieniem bezpieczeństwa IT na odpowiednim poziomie. D-Link Technology Trend 2011
Recommandé
Recommandé
Contenu connexe
En vedette
En vedette (9)
Similaire à Raport Bezpieczenstwo IT w polskich firmach
Similaire à Raport Bezpieczenstwo IT w polskich firmach (20)
Plus de D-Link Polska
Plus de D-Link Polska (14)
Raport Bezpieczenstwo IT w polskich firmach
- 1. BEZPIECZEŃSTWO IT Raport opracował: W POLSKICH FIRMACH Partnerzy merytoryczni: D-Link Technology Trend RAPORT | STYCZEŃ 2011
- 2. Spis treści Stan oblężenia 3 że zabezpieczenie mogło kosztować tylko ułamek tej Przegląd zagrożeń, którym poddane są dziś firmy kwoty. Proste kalkulacje pokazują, że o wiele bardziej wykorzystujące technologie IT. Jaka będzie przyszłość opłacalne jest stosowanie zabezpieczeń. zabezpieczania systemów informatycznych? Jak polskie firmy będę się broniły przed atakami? Bezpieczeństwo Zagrożenia to też rynek! 7 na wynos 21 Rodzaje zagrożeń ciągle ewoluują. Niestety, Masz w firmie użytkowników mobilnych? Korzystają w złym kierunku. Cyberprzestępcy specjalizują się z laptopów i smartfonów? Łączą się zdalnie w wykradaniu naszych danych i przejmowaniu kontroli z wewnętrznymi zasobami przedsiębiorstwa? Lepiej nad kontami w bankach. sprawdź, na co się narażasz i jak możesz temu skutecznie zapobiec. Internet jest dziś bowiem bardzo Jak polskie firmy zainfekowanym środowiskiem. (nie) dbają o bezpieczeństwo Społeczności na celowniku 26 komputerowe? 13 Jeśli myślisz, że pracownicy nie korzystają w pracy Jaka jest świadomość polskich firm? Jaki jest z sieci społecznościowych, to bardzo się mylisz. Robią stan zabezpieczeń? Co robią dziś przedsiębiorcy, to niemal wszyscy, a dla cyberprzestępców to sytuacja a co powinni robić, żeby nie narazić firmy na idealna do ataku. Pokazujemy, jak budować politykę wielomilionowe straty? bezpieczeństwa w tym zakresie. Bezpieczeństwo? Domowe nawyki 31 Dom jest miejscem, w którym powinniśmy się To się po prostu opłaca 17 relaksować. Rozluźniamy w ten sposób również Większość firm uświadamia sobie konieczność nasze podejście do kwestii bezpieczeństwa w Sieci. stosowania zabezpieczeń dopiero w momencie ataku. Pozwalamy na zbyt dużo sobie samym, a co gorsza – Kiedy tracą miliony złotych, doceniają to, również naszym pociechom. 2 © Webhosting.pl | 2011
- 3. źródło: sxc.hu Przeglądając media branżowe, coraz częściej możemy się natknąć na informacje o wyciekach danych, bądź poważnych hakerskich atakach, których ofiarą padły duże przedsiębiorstwa. Skłoniło to firmy home.pl i D-Link do zrealizowania badań na temat bezpieczeństwa komputerowego z naciskiem na stan panujący w polskich sieciach firmowych. Wyniki, jakie otrzymała agencja Millward Brown SMG/KRC, potwierdziły przypuszczenia, że za incydentami stoi dość niski poziom zabezpieczeń, z którymi możemy się spotkać Stan oblężenia w polskich przedsiębiorstwach. Tymczasem poziom zagrożeń, z którymi muszą sobie radzić stosowane rozwiązania ochronne, mocno je przewyższa. Rozwój technologii komputerowych pociągnął za sobą również znaczny wzrost zagrożeń, z jakimi może Szczegółowe wyniki badań znalazły się w kolejnych rozdziałach, opisujących się spotkać użytkownik. Duża wartość danych konkretne zagrożenia, ale także oraz różnorodność form nieuczciwego zarobku sposoby walki z nimi, metody ochrony zasobów firmy i budowania polityki przyczyniają się do olbrzymiej skali cyberprzestępczości. bezpieczeństwa. Zachęcamy więc Zagrożenia potrafią również przybierać bardziej prozaiczne do lektury naszego raportu, mając formy wynikające np. z eksploatacji sprzętu. Nie da się nadzieję, że przyczyni się on do poprawy jakości ochrony danych w polskich ukryć, że zapewnienie bezpieczeństwa komputerowego przedsiębiorstwach i zmniejszy liczbę w dużych sieciach to dziś nie lada wyzwanie. incydentów związanych z ich utratą. 3 © Webhosting.pl | 2011
- 4. Globalna sieć Utrata danych zagrożeń Czy w Pana(i) firmie doszło kiedykolwiek do utraty danych? Tak Nie Ogółem (n=973) 38 62 Internet stał się powszechnym narzędziem codziennej pracy. Jego zalety ułatwiające zatrudnienia 1-5 pracowników (n=591) 36 64 Wielkość szybką komunikację, niestety, ułatwiają 6-20 pracowników (n=177) 38 62 również różnego rodzaju szkodliwe powyżej 20 pracowników (n=205) 41 59 działania. komputerowych 1-5 stanowisk (n=630) 36 64 stanowisk Stałe łącze z Internetem w olbrzymi Liczba 6-20 stanowisk (n=180) 37 63 sposób zwiększa ryzyko infekcją powyżej 20 stanowisk (n=163) 46 54 złośliwym oprogramowaniem. Tą drogą mogą być również podejmowane próby Produkcja (n=83) 35 65 działalności włamań do komputera, szpiegowania Handel (n=206) 34 66 Profil firmy Usługi (n=430) 38 62 i kradzieży danych. Media i reklama (n=108) 42 58 Zrealizowane badania pokazały, że polscy użytkownicy powszechnie po ujawnieniu krytycznej luki aż do stosują podstawowe zabezpieczenia komputera w postaci programów Łatanie luk momentu jej załatania. antywirusowych i zapór sieciowych. Niestety, nad wyszukiwaniem słabych Dość ważnym czynnikiem powodującym punktów popularnych programów więcej Jednak nie oznacza to, że instalacja wzrost ryzyka ataków hakerskich, bądź ludzi pracuje w celu ich nieuczciwego odpowiednich aplikacji czyni komputer infekcji wirusami są luki wykorzystania niż usunięcia. W tym w 100% bezpiecznym. Różnorodność ataków oraz lawinowy w oprogramowaniu. Czynnik ten jest aspekcie warto zadbać o odpowiednią przyrost wirusów, trojanów i innych szczególnie ważny gdyż administratorzy częstotliwość aktualizowania szkodliwych programów czynią to zadanie nie mają na niego żadnego wpływu. Mogą oprogramowania, gdyż może to pozwolić zdecydowanie utrudnionym. jedynie blokować daną aplikację uniknąć wielu nieprzyjemnych następstw. 4 © Webhosting.pl | 2011
- 5. Lawinowy rozwój Subiektywna ocena skali zagrożeń cyberprzestępczości Prosimy spróbować określić, jak dużym zagrożeniem dla Pańskiej firmy są poniższe zjawiska: 1 - bardzo małe zagrożenie 2 3 4 5 - bardzo duże zagrożenie Średnia Małe Duże zagrożenie zagrożenie Pieniądze, które można zarobić na przestępstwach realizowanych w utrata danych 13 18 26 21 22 3.2 32% 43% Internecie, przyciągają do tego procederu coraz więcej osób. Nie jest to już tylko zajęcie dla młodych, domorosłych ataki cyberprzestępców 19 25 27 18 11 2.8 44% 29% programistów szukających łatwego zarobku. Obecnie jest to świetnie zorganizowany proceder nadzorowany kradzież mienia 29 27 21 10 11 2.5 57% 22% przez tradycyjne grupy przestępcze, dla których stała to się kolejna atrakcyjna gałąź dochodów, jak prostytucja czy nielojalność pracowników 40 19 20 11 9 2.3 60% 20% wyłudzenia. Sprawia to, że coraz trudniej zwalczać działalność cyberprzestępczą, chociaż z kont bankowych, a także phishingiem, do ochrony danych. Niemniej, często powoływane są do tego kolejne czyli wyłudzaniem danych. podejście do tego tematu jest mocno wyspecjalizowane jednostki odpowiednich ograniczone. W takim wypadku dopiero służb. Działania grup cyberprzestępczych w momencie zaistnienia incydentu utraty skupiają się w dużej mierze na budowaniu światowych botnetów, wykorzystywanych Mądry Polak danych przedsiębiorcy przypominają sobie o zapewnieniu odpowiednich procedur potem do wysyłania spamu, lub przeprowadzania ataków na kolejne po szkodzie sporządzania kopii zapasowych. komputery. W blisko 40% badanych firm doszło do Działania mające na celu zapewnienie utraty danych. Koszty takich wypadków Są jednak również komórki specjalizujące bezpieczeństwa komputerowego w mogą sięgać zawrotnych sum. Biorąc pod się w kradzieżach danych, bądź pieniędzy firmach sprowadzają się w dużej mierze uwagę różnorodność czynników, które 5 © Webhosting.pl | 2011
- 6. mogą doprowadzić do utraty danych, a ponadto wypadki losowe, zalecamy częsty backup wszystkich ważniejszych Przyszłość IT security? zasobów dysków firmowych. Patrząc na to, jak dynamicznie zmienia się branża bezpieczeństwa, prawie niemożliwe jest przewidzenie, jak będzie wyglądał rynek IT Security w przyszłości. Ciągle dopieszczane normy i protokoły Człowiek ważnym bezpieczeństwa, wprowadzane na każdym poziomie modelu ISO/OSI zabezpieczenia softwarowe i sprzętowe (por. wprowadzone niedawno na rynek konsumencki technologie, takie jak sandboxing, elementem DEP/ASLR) sprawiają, że przestępcom jest coraz trudniej pisać skutecz- ne exploity i przejmować kontrolę nad systemami komputerowymi. W gąszczu zagrożeń komputerowych bardzo ważnym elementem jest człowiek. Warto więc zastanowić się, czy ze względu na powyższe nowym celem przestępców nie stanie się człowiek, który odpowiada za dany system „Warto aby użytkownik komputera był komputerowy, często ma większe uprawnienia niż maszyna, którą steruje, świadom istnienia zagrożeń i zasad ich a przede wszystkim nie posiada prawie żadnej ochro- funkcjonowania. Wiedza, która znalazła ny? Większość ataków komputerowych znajduje eko- się w naszym raporcie, na pewno nomiczne uzasadnienie, np. bankowy trojan Zeus za- pomoże tę świadomość zwiększać. implementował metodę ataku na telefony komórkowe, Ponadto, dane zebrane w poszczególnych dopiero wtedy gdy okazało się to opłacalne dla jego artykułach budują ogólny obraz poziomu twórców. Jestem więc pewien, że w myśl zasady „czło- zabezpieczeń stosowanych w Polsce, wiek najsłabszym ogniwem w łańcuchu bezpieczeń- a konkretne porady i wskazówki stwa” najbliższe lata to czas niedocenianych do tej po- pomogą w opracowaniu odpowiednich ry ataków socjotechnicznych i tzw. spear phishingu. procedur bezpieczeństwa oraz radzeniu sobie z zagrożeniami“ – zapewnia Moim zdaniem za dużo pracy wkładamy w zabez- pieczania maszyn, które prędzej czy później i tak zo- Dariusz Nawojczyk, redaktor naczelny Piotr Konieczny stają przełamywane przez crackerów, a za mało uwa- Webhosting.pl. – szef zespołu pen- gi poświęcamy operatorom tych maszyn. Wierzę testerów i konsultant jednak głęboko, że to się zmieni. Na rynku już po- ds. bezpieczeństwa jawiają się pierwsze usługi związane z social-engi- teleinformatycznego, neeringiem (szkolenia, odpowiednie testy bezpie- Niebezpiecznik.pl. czeństwa) i na pewno warto się nimi zainteresować. 6 © Webhosting.pl | 2011
- 7. źródło: sxc.hu Stare sposoby, nowe cele Jednym z głównych zagrożeń dla użytkowników Internetu nadal pozostają infekcje systemu operacyjnego wszelkiego rodzaju szkodliwym oprogramowaniem. Na czele są tutaj oczywiście wirusy, konie trojańskie, programy szpiegujące czy też fałszywe oprogramowanie znane także Zagrożenia to też rynek! pod nazwą „rogue malware”. Wspólnym mianownikiem dla wymienionych szkodników będzie jednak hasło „zarobek”. Jeszcze kilka lat temu bardzo popularne Rosnące zyski, które można osiągnąć z działalności było pisanie wirusów, które nie cyberprzestępczej, uczyniły z tego zjawiska masowy robiły większych szkód w systemie proceder na światową skalę. Doszło do tego, że powstają użytkownika. Ich głównym celem był żart, np. zmiana układu klawiatury, komórki, które wzajemnie ze sobą współpracują, np. jedna wyświetlanie komunikatów czy usuwanie grupa pisze program szpiegujący, inna rozpowszechnia go plików. Obecnie tego typu szkodliwe w Sieci i zbiera dane (takie jak numery kart kredytowych), oprogramowanie stanowi niewielki odsetek zagrożeń, na które narażeni są użytkownicy. które są przekazywane osobom zajmującym się kradzieżami z ich pośrednictwem. Ten niebezpieczny Wirusy pisane dla zabawy zostały trend rynkowych zachowań w dziedzinie zagrożeń zastąpione przez bardziej wyrafinowane i zaawansowane szkodniki. Część z nich komputerowych powoduje, że zbierają one jeszcze większe funkcjonuje na zasadzie „im później żniwo i trudniej się przed nimi chronić. wykryty, tym lepiej”. Starają się one nie 7 © Webhosting.pl | 2011
- 8. przyciągać uwagi komunikatami, nowymi ikonami na pulpicie czy nadmiernym Sposoby wykorzystywania Internetu obciążeniem systemu. Wszystko po to, by W jakim celu w Pańskiej firmie wykorzystywany jest Internet? jak najdłużej wykradać cenne informacje z zainfekowanego komputera. W tym Wielkość zatrudnienia Liczba stanowisk komputerowych czasie szkodnik zapisuje każde kliknięcie OGÓŁEM 1-5 pracowników 6-20 pracowników >20 pracowników 1-5 stanowisk 6-20 stanowisk > 20 stanowisk (n=591) (n=177) (n=205) (n=630) (n=180) (n=163) myszą i każdy wpisany za pomocą klawiatury tekst, a co za tym idzie – hasła 10 10 komunikacja e-mail 99 99 98 99 98 i loginy do serwisów. Użytkownicy, nie 0 0 widząc typowych dla infekcji objawów, komunikatory 58 60 56 53 58 58 55 które jeszcze kilka lat temu były częstą internetowe przypadłością po „złapaniu wirusa” – np. łączenie różnych 17 18 znaczące spowolnienie systemu czy nie oddziałów firmy 29 38 56 37 61 wykrywanie nowo podłączanych urządzeń – są przekonani o bezpieczeństwie własnego komunikacja VoIP 27 26 27 30 23 32 34 systemu. Im dłużej szkodnik obecny jest w komputerze, tym więcej danych zbierze. wideokonferencje 17 17 15 20 16 16 23 By ukryć malware, cyberprzestępcy inne 75 75 74 75 75 76 75 chowają niektóre procesy, mogące świadczyć o zainfekowaniu. Wiele osób nie zdaje nie wiem / trudno powiedzieć 1 1 0 1 0 0 1 sobie sprawy, że używając tak zarażonego komputera do przelewów czy płatności kartą Wynik istotnie NIŻSZY niż wynik OGÓŁEM Wynik istotnie WYŻSZY niż wynik OGÓŁEM w sklepie internetowym, bardzo ryzykują utratę wszystkich środków z konta. premium, a nawet profile z serwisów prowadzonym na globalną skalę, świadczy społecznościowych. Wszystkie te chociażby wzrost liczby sygnatur dla W Internecie funkcjonuje swoisty czarny informacje pochodzą oczywiście programu antywirusowego Kaspersky od rynek, na którym można kupić numery z kradzieży. roku 1998. Tak dynamiczny wzrost można kart kredytowych wraz z kodami, loginy wytłumaczyć na kilka sposobów. Jednym i hasła do różnych kont pocztowych, O tym, że infekowanie komputera z nich jest fakt, że od kilku lat użytkownicy konta do serwisów świadczących usługi przestało być zabawą, a stało się biznesem Internetu mają możliwość rejestrowania 8 © Webhosting.pl | 2011
- 9. się na wszelkiej maści portalach czy forach. Cyberprzestępcy wykorzystują to, Infekcje komputerów opracowując nowe metody infekowania Wzrost liczby sygnatur w programie antywirusowym w latach 1998-2009 systemów, dostosowując się do aktualnej 3500000 mody. Tak było między innymi z serwisem 3000000 Nasza-Klasa.pl. 2500000 Atakujący wykorzystali jego popularność 2000000 i stworzyli fałszywą witrynę, bardzo 1500000 podobną do prawdziwej. Dodatkowo 1000000 wysłali bardzo dużą liczbę e-maili zachęcających do logowania się na 500000 fałszywej stronie. Po kliknięciu odnośnika 0 następowało przeniesienie na spreparowaną rok 1998 1999 2000 2001 2002 2003 2004 2005 2006 2007 2008 2009 witrynę, gdzie proszono o zainstalowanie najnowszego odtwarzacza Flash Player, niezbędnego do odczytania wiadomości. Oczywiście program okazywał się DOC i blisko dwieście innych rodzajów. Na koniec na komputerze użytkownika Fałszywe koniem trojańskim, dzięki któremu można szpiegować użytkowników i kraść dane. zostawiał informację, w której autor trojana podawał numer konta, na który należy oprogramowanie Cała metoda ataku to jedna z odmian przelać niebagatelną sumę 300 USD, coraz popularniejszego phishingu, szerzej celem otrzymania dekodera. Z pewnością Od kilku lat bardzo popularną metodą opisanego w dalszej części tekstu. znalazłyby się osoby, dla których lepszym pozyskiwania pieniędzy przez rozwiązaniem byłoby sformatowanie dysku cyberprzestępców jest oferowanie Innym przykładem ataku wykorzystującego i wgranie nowego systemu, co jednak fałszywego oprogramowania szkodliwe oprogramowanie, które w przypadku zaszyfrowania ważnych zabezpieczającego. Do infekcji systemu w żadnym stopniu nie było żartem, dokumentów, jak praca magisterska czy tego typu aplikacjami może dojść na kilka a nastawione było jedynie na zysk projekt grafiki, nad którym spędziło się sposobów. Każdy z nich sprowadza się dla autora, jest trojan Gpcode. Po ostatnie kilka miesięcy? Znalazło się wiele jednak do socjotechniki i manipulacji zainfekowaniu systemu szyfrował on pliki o osób, które odpowiedziały na szantaż człowiekiem. Jedna z metod polega na różnych rozszerzeniach np. EXE, RAR, ZIP, i przelały pieniądze. oferowaniu na mało znanych stronach 9 © Webhosting.pl | 2011
- 10. internetowych darmowych skanerów antywirusowych, które podają fałszywe Wykorzystywane aplikacje biurowe wyniki skanowania, sugerujące, jakoby Jakich aplikacji używa się w Pańskiej firmie? na dysku twardym wykryto bardzo dużo szkodników. Jednocześnie zachęca się do Wielkość zatrudnienia Liczba stanowisk komputerowych zainstalowania programu antywirusowego, OGÓŁEM 1-5 pracowników 6-20 pracowników >20 pracowników 1-5 stanowisk 6-20 stanowisk > 20 stanowisk który po opłaceniu licencji pomoże (n=591) (n=177) (n=205) (n=630) (n=180) (n=163) pozbyć się kłopotu. Oczywiście lista przeglądarka 99 10 98 98 99 99 97 0 rekomendowanych aplikacji kończy się na internetowa tych stworzonych przez cyberprzestępców, program pocztowy 90 88 91 94 87 94 94 a które nie oferują żadnego poziomu bezpieczeństwa i niejednokrotnie same aplikacje biurowe 89 87 92 92 87 94 93 instalują komponenty szpiegowskie. 65 63 64 70 60 73 73 Dodatkowo, by zwiększyć wiarygodność FTP tych programów, wykorzystuje się komunikator 64 65 63 59 64 63 63 kolorystykę i szatę graficzną zbliżoną do internetowy tej, jaka jest stosowana przez czołowych aplikacje multimedialne 57 58 53 55 57 53 61 przedstawicieli branży antywirusowej. 60 57 65 66 55 68 71 inne nie wiem / trudno 0 Najważniejsze 0 1 1 0 0 1 powiedzieć Wynik istotnie NIŻSZY niż wynik OGÓŁEM Wynik istotnie WYŻSZY niż wynik OGÓŁEM to przekonać Metody ataku opisane do tej pory korzystają Phishing to metoda wyłudzania danych przez cyberprzestępcę e-maili, które są w dużej mierze z socjotechniki, a więc poprzez podstawianie użytkownikowi wysyłane rzekomo przez administratora manipulacji i wykorzystywania ludzi do sfałszowanej witryny konkretnej instytucji, danego serwisu do użytkowników. Tych swoich potrzeb. Jednak najbardziej znanym cieszącej się powszechnym zaufaniem, ostatnich prosi się zazwyczaj o zalogowanie atakiem korzystającym z socjotechniki jest na przykład banku. Cały proceder pod konkretnym adresem w celu dokonania phishing. rozpoczyna się od masowego wysłania niezbędnych modyfikacji na koncie. 10 © Webhosting.pl | 2011
- 11. Świeżym przykładem takiej wiadomości jest informacja wysyłana do użytkowników serwisu Allegro.pl. Czynnikami mającymi Człowiek najsłabszym ogniwem! zachęcić do kliknięcia linku jest grafika Moim skromnym zdaniem najbliższe lata będą zdecydowanie stały pod znakiem ata- nawiązująca do oryginalnej strony oraz ków wymierzonych w użytkowników końcowych. Przede wszystkim ze względu na adres e-mailowy nadawcy, którego ogromną liczbę osób korzystających z Sieci oraz łatwe metody monetyzacji przeję- domena odnosi się do Allegro.pl, a który tych systemów – takie jak na przykład fałszywe systemy an- jest niestety sfałszowany. Jeżeli mimo tywirusowe (zalecające zakup aplikacji usuwającej fałszywe wzbudzającej podejrzenia pisowni ktoś trojany) czy aplikacje szyfrujące dane użytkownika (nakła- niające do zapłacenia za kod umożliwiający odzyskanie in- zdecydował się jednak na zalogowanie formacji). Pierwszorzędną rolę będzie miało tu zastosowanie na fałszywej stronie, był natychmiast wszelkiej maści socjotechnik nakłaniających użytkownika do przeniesiony na spreparowaną witrynę. samoczynnej instalacji złośliwego oprogramowania. Wszech- Niestety, po wpisaniu nazwy użytkownika obecne rozwiązania webowe zarówno w postaci popularnych i hasła, wszystkie dane były wysyłane serwisów społecznościowych, jak i różnorakich usług i apli- do cyberprzestępcy, który stawał się tym kacji, które bardzo silnie zakorzeniły się w dzisiejszej kultu- samym posiadaczem konta. rze, wciąż będą pełniły bardzo istotną rolę w tym procederze. Mimo coraz częstszego stosowania przez producentów po- Opcji wykorzystania tych informacji pularnego oprogramowania techniki „piaskownicy” (ang. Borys Łącki jest wiele. W najgorszym scenariuszu, sandbox) oraz stosowania wszelkiego rodzaju zabezpieczeń – autor bloga utrudniających ataki (np. ASLR – Address Space Layout Ran- cyberprzestępca może wystawiać aukcje Bothunters.pl, traktu- domization itp.) minie jeszcze kilka lat zanim w większości wy- z drogim sprzętem, zarabiając w ten jącego o bezpieczeń- korzystywanych systemów operacyjnych, tego typu zabez- sposób nawet kilkadziesiąt tysięcy złotych. stwie IT, złośliwym pieczenia będą podstawową i obligatoryjną formą obrony. Ewentualne roszczenia i pretensje z powodu oprogramowaniu W obliczu informacji [1], że przeciętny użytkownik posia- niedotrzymania warunków transakcji i i cyberprzestęp- da zainstalowanych kilkadziesiąt najczęściej podatnych na niewysłania sprzętu poniesie właściciel stwach. Pentester atak aplikacji pochodzących od kilkudziesięciu różnych pro- konta, który padł ofiarą phishingu. i konsultant ds. zabez- ducentów oprogramowania, warto zauważyć, że interneto- pieczeń systemów wi przestępcy jeszcze przez wiele lat będą mieli szerokie spek- Oczywiście portale aukcyjne nie są i struktur teleinfor- trum ataku. Wątpię też, by któryś z największych dostawców jedynymi serwisami, z których popularności matycznych w firmie systemów operacyjnych zdecydował się na globalne wymusze- korzystają cyberprzestępcy. Najczęściej do LogicalTrust.net nie na twórcach aplikacji, stosowanie tego typu rozwiązań. tego typu procederu używają stron banków. 11 © Webhosting.pl | 2011
- 12. Certyfikaty na straży Podobnie z uwagi na rosnącą w niesamowitym tempie popularność platform prze- nośnych z dostępem do Sieci kolejnym miejscem, w które uderzą cyberprze- przesyłanych danych stępcy, będą właśnie wszelkiej maści zaawansowane smartfony. Spodziewam się szybkiego wzrostu ataków w tym obszarze rynku, gdyż przejmując ten seg- ment technologii, możemy w dość prosty sposób monetyzować przejęte urządze- Certyfikaty SSL są jednym z narzędzi, które nia, wysyłając komunikaty SMS lub wykonując połączenia do serwisów obciąża- może skutecznie chronić nasze dane przed jących rachunek wysokimi kosztami. We wrześniu roku 2010 w Chinach w ciągu przechwyceniem. Pozwala ono bezpiecznie jednego tygodnia wirus zainfekował ponad milion urządzeń przenośnych [2] i na pewno w najbliższych latach usłyszymy o równie spektakularnych atakach. logować się do najróżniejszych serwisów. Zapewnia to szyfrowanie (SSL) oraz firma Nie należy także zapominać o urządzeniach typu embedded, które w posta- poświadczająca autentyczność certyfikatu. ci drukarek, kamer, telefonów, routerów itp. obecne są już w prawie każ- dej firmie czy instytucji. Bardzo często w środowiskach biznesowych ich bez- Niestety, phishing ewoluuje. By było pieczeństwo jest ignorowane i pozostawia wiele do życzenia. jeszcze ciężej odróżnić stronę fałszywą od W kontekście rosnącej popularności wszelkiej maści produktów firmy Apple prawdziwej, a tym samym uśpić czujność i powoli rosnącej świadomości marki w zakresie bezpieczeń- internautów, cyberprzestępcy umieszczają stwa warto mieć na uwadze możliwe zwiększenie zainteresowa- na takich stronach certyfikaty zdobyte nia atakami wymierzonymi w rozwiązania tego producenta. różnymi metodami (na przykład poprzez Oczywiście, będące na topie zagadnienia takie jak przetwarzanie w chmu- włamanie na serwer). Po wejściu na tak rze (ang. Cloud Computing) i systemy wirtualizacji będą systematycz- spreparowaną witrynę, przeglądarka pokaże nie zdobywały zarówno zwolenników jak i tych, którzy będą pragnę- charakterystyczną zamkniętą kłódkę li zaatakować większą liczbę systemów jednocześnie. symbolizującą bezpieczne Wartość przetwarzanych informacji będzie nieustannie rosła, a co za tym i wiarygodne połączenie. Zrealizowane idzie inwestycje w zakresie bezpieczeństwa informacji (urządzenia sprzęto- badania pokazały jednak, że spora liczba we, kopie zapasowe, szkolenia, rozwiązania dedykowane) będą wciąż syste- użytkowników rozpoznaje poszczególne matycznie rosły i nie spodziewam się w tej materii drastycznych zmian. firmy wydające certyfikaty SSL, dzięki czemu mogą oni oceniać ich wiarygodność. [1] – http://secunia.com/gfx/pdf/Secunia_Half_Year_Report_2010.pdf Tylko 32% ankietowanych wykazało się nieznajomością poszczególnych marek [2] – http://news.yahoo.com/s/digitaltrends/20101111/tc_digitaltrends/ dostawców certyfikatów. zombievirusinfects1millionchinesecellphones 12 © Webhosting.pl | 2011
- 13. źródło: sxc.hu Minęły już czasy, kiedy cyberprzestępcy kojarzeni byli bardziej z nurtem filmów „science fiction” niż rzeczywistością. Nie znaczy to jednak, że większość zagrożeń to sprawka hakerów o niecnych zamiarach. Wystarczy przeanalizować większe awarie i wycieki danych, które miały miejsce w Polsce w ciągu ostatnich lat. Zarówno duże korporacje, jak również niewielkie firmy muszą stawić czoło wielu współczesnym wyzwaniom. W badaniach „Komputery w firmach“ w ramach D-Link Technology Trend, Jak polskie firmy zrealizowanych przez Millward Brown SMG/KRC, skupiono się na tym, jak firmy (nie) dbają o bezpieczeństwo dbają o bezpieczeństwo, jak planują o nie dbać w przyszłości, jakie do tej pory miały problemy i czego się obawiają. komputerowe? Antywirusy Bezpieczeństwo komputerowe wraz z rozwojem technik najpopularniejsze informacyjnych staje się coraz większym priorytetem w działaniu współczesnych przedsiębiorstw. Ale ogólna Zdecydowanym liderem wśród kondycja bezpieczeństwa komputerowego w polskich wykorzystywanych zabezpieczeń firmach budzi wiele zastrzeżeń. Wyniki badań są raczej komputerów firmowych jest oprogramowanie antywirusowe. zatrważające i podpowiadają jedno - coś trzeba z tym jak Korzystanie z niego zadeklarowało aż 91% najszybciej zrobić. pracowników. Trend ten dotyczy w tym 13 © Webhosting.pl | 2011
- 15. Backup Planowane inwestycje w systemy bezpieczeństwa też oszczędnie Czy w najbliższym roku firma planuje inwestycje w systemy związane z bezpieczeństwem? Jeśli tak, to w jakie? Wielkość zatrudnienia Liczba stanowisk komputerowych Systemy archiwizacji danych w przypadku OGÓŁEM 1-5 pracowników 6-20 pracowników >20 pracowników 1-5 stanowisk 6-20 stanowisk > 20 stanowisk planowania wydatków na bezpieczeństwo (n=591) (n=177) (n=205) (n=630) (n=180) (n=163) znalazły się na drugiej pozycji. programy antywirusowe 38 40 39 34 41 36 33 Przedsiębiorcy są dość świadomi, że nie systemy archiwizacji mogą sobie pozwolić na lekkomyślną utratę danych 17 15 25 17 15 26 16 danych. Jednak w zakresie sporządzania firewalle software'owe 14 14 18 13 14 18 12 kopii danych najszersze zastosowanie znalazły głównie najtańsze i najprostsze sprzętowe zapory sieciowe 10 9 13 12 8 14 13 metody archiwizacji, jak nagranie na nośnik monitoring wizyjny 7 7 10 6 7 9 7 zewnętrzny lub przesłanie na inny komputer. Robi tak aż 92% przedsiębiorstw, tylko 10% system alarmowy 6 6 6 5 6 7 5 korzysta natomiast z backupu online. inne 5 4 6 7 3 6 9 Co jest bardzo niepokojące, aż 30% firm firma nie planuje żadnych tego typu 30 32 29 25 33 26 26 uważa, że inwestycja w ochronę wirtualnych inwestycji danych nie jest konieczna. Wojciech nie wiem / trudno powiedzieć 18 14 16 28 14 21 28 Głażewski, Country Manager Wynik istotnie NI ŻSZY niż wynik OGÓŁEM Wynik istotnie WYSZY niż wynik OGÓ Ż ŁEM w D-Link Polska, tak podsumowuje panujące trendy: Ponadto, okazało się, że stosowane przez przechowywanych na dyskach firmowych. „Bezpieczeństwo komputerów i zapisanych firmy zabezpieczenia danych często okazują Bardzo wysoki odsetek w przypadkach na nich danych jest jednym z podstawowych się niewystarczające. W 37% przebadanych utraty danych stanowią awarie sprzętu. zadań firmy. Niestety, jest ono często firm mimo wszelkich podjętych starań Jest to według różnych szacunków do 44% bagatelizowane. Potrzeba inwestycji doszło do utraty danych. Często ma udziału we wszystkich takich wypadkach. w zabezpieczenia dotkliwie przypomina to związek z brakiem świadomości Czynniki, które są postrzegane jako jedne o sobie dopiero w momencie utraty danych“. różnorodności zagrożeń wobec danych z największych zagrożeń, np. wirusy, bardzo 15 © Webhosting.pl | 2011
- 16. rzadko doprowadzają do utraty firmowych późniejszymi przypadkami utraty, bądź danych. wycieku danych. W takim przypadku nawet jeżeli firma była ubezpieczona, ciężko uzyskać wypłatę odszkodowania, jeżeli Zabezpieczenia okaże się, że odpowiednie kwestie zostały niedopatrzone. offline Okazuje się że tradycyjne zabezpieczenia Podsumowanie w kontekście ochrony firmowych danych i komputerów nie cieszą się Analizując poziom zabezpieczeń wielką popularnością. Znaczący wpływ stosowanych w polskich firmach, wyłania na to mają wysokie koszty rozwiązań się obraz sieci narażonych na różnorodne takich jak monitoring biura. Najczęściej zagrożenia, przed którymi nie będą się stosowanym zabezpieczeniemi z tej grupy w stanie obronić. Liczby luk przekładają są systemy alarmowe, który wskazało 30% się na realne straty finansowe. Dopóki respondentów. Inne tego typu systemy przedsiębiorcy nie zrozumieją, że nie cieszą się znaczną popularnością. łatwiej i taniej zapobiegać incydentom, niż pokrywać ich koszty, odsetek firm Wiąże się to również z przekonaniem, że cierpiących z powodu rozmaitych firmowe dane najlepiej chronią systemy zagrożeń komputerowych dalej będzie bezpieczeństwa bezpośrednio związane bardzo wysoki. z komputerami. Tematem, który mocno kuleje w polskich przedsiębiorstwach są przygotowane i ściśle sprecyzowane procedury bezpieczeństwa. Bardzo niewiele firm może się na tym polu pochwalić certyfikatami, jak np. ISO 27001:2500, odnoszącym się do bezpieczeństwa informacji. Często nieregulowane kwestie skutkują 16 © Webhosting.pl | 2011
- 17. źródło: sxc.hu W ubiegłym roku 40% średniej wielkości firm zanotowało przypadki naruszenia bezpieczeństwa danych, a 75% firm przyznało, że takie incydenty mogą poważnie zagrozić ich działalności biznesowej. W porównaniu z rokiem 2008 jest to odpowiednio 11 i 5-procentowy wzrost wg informacji firmy Bloor Research zawartych w raporcie „The Ongoing Security Paradox”. Ataki nie przynoszą dziś zniszczeń w infrastrukturze – stały się za to coraz bardziej ukierunkowane na konkretne podmioty i mają na celu głównie pozyskanie danych korporacyjnych oraz własności intelektualnej. Bezpieczeństwo? Milionowe straty To się po prostu opłaca Ponemon Instytute, instytucja zajmująca się niezależnymi badaniami dotyczącymi ochrony danych i bezpieczeństwa informacji W dobie zalewającej nas fali technologii internetowych w USA, wyliczył, że średni koszt naruszenia coraz większego znaczenia nabiera sama informacja. Dla bezpieczeństwa w tej dziedzinie wyniósł 6,75 milionów dolarów na incydent wielu stała się ona dziś substytutem surowców naturalnych, w 2009 roku i także jest to wzrost a co za tym idzie – konieczne stało się jej chronienie, które w porównaniu z poprzednim rokiem. Co zapewnia ciągłość działań biznesowych każdej firmy. ciekawe, wyliczenia te zostały oparte na podstawie danych 45 firm, które publicznie Jak się okazuje, bardziej opłacalne jest zabezpieczanie przyznały się do zaistnienia takich informacji niż walka ze skutkami jej utraty. incydentów i wyraziły chęć dyskusji o nich. 17 © Webhosting.pl | 2011
- 18. Dodajmy także, że najbardziej kosztowne naruszenie bezpieczeństwa wyniosło Wykonywanie kopii bezpieczeństwa danych jednorazowo 31 milionów dolarów, Jak często w Państwa firmie wykonywana jest kopia bezpieczeństwa danych? a najniższy koszt zamknął się w granicach 750 tysięcy dolarów (przy czym przez koszt cyklicznie - raz dziennie lub częściej cyklicznie - raz na tydzień cyklicznie - raz na miesiąc rzadziej niż raz na miesiąc rozumiemy wartość wszelkich środków pojedynczo / na żądanie nie wykonujemy backupu danych podjętych w celu neutralizacji skutków). nie wiem/trudno powiedzieć/odmowa Ogółem (n=973) 32 19 12 8 16 7 6 Brak świadomości 1-5 pracowników (n=591) 21 20 zatrudnienia 14 10 21 9 4 Wielkość 6-20 pracowników (n=177) 20 11 8 11 5 5 Przytoczone przykłady pokazują, że 41 > 20 pracowników (n=205) 13 6 4 5 3 13 problem nie może być bagatelizowany 56 i że fragmentaryczna świadomość komputerowych 1-5 stanowisk (n=630) 5 stanowisk 21 20 9 w zakresie bezpieczeństwa w wielu 14 10 21 Liczba 6-20 stanowisk (n=180) 41 23 10 7 11 3 6 firmach prowadzi do traktowania tematu > 20 stanowisk (n=163) 9 4 2 4 2 12 bardzo wybiórczo. Zgodnie z badaniem 66 D-Link Technology Trend działalność kiedykolwiek do utraty danych? Czy w firmie (Q18a) doszło Doszło (n=366) 18 10 8 19 4 4 ta ogranicza się w 90% do stosowania 36 Nie doszło (n=607) 29 19 13 8 14 9 7 programów antywirusowych, w 70% do archiwizacji danych, 60% stosuje firewalle software’owe, a mniej niż połowa stosuje sprzętowe zapory sieciowe. w zakresie bezpieczeństwa są nieadekwatne i sprawdza aktualność wdrożonych zasad. do potencjalnych zagrożeń. Środki Po części wynika to właśnie z braku Błędnym założeniem jest również przeznaczane na wprowadzenie świadomości, a po części z powodów przekonanie, że jeśli przez ostatnie 10 lat i utrzymanie odpowiednich zabezpieczeń finansowych. Oprócz technologicznych nic złego się w firmie nie stało, to zawsze ulegają zmniejszeniu pomimo wzrostu będzie dobrze w dziedzinie bezpieczeństwa. liczby zagrożeń i ataków. zabezpieczeń firmy powinny również Większość firm wg raportu CSI Computer inwestować w edukację użytkowników, Crime and Security Survey przyznaje, że ich Również bardzo mało firm w Polsce gdyż 60% wszystkich incydentów wydatki na edukację użytkowników kontroluje regularnie stan zabezpieczeń związanych z utratą danych jest 18 © Webhosting.pl | 2011
- 19. spowodowanych błędem człowieka bądź niefrasobliwością wynikającą Znajomość marek (wystawców) certyfikatów SSL z nieświadomości w tym temacie. Proszę wkazać marki (wystawy certfikatów SSL), które są Panu (i) znane Sama utrata danych wg badania D-Link Wielkość zatrudnienia Liczba stanowisk komputerowych Technology Trend wykonanego przez OGÓŁEM 1-5 pracowników 6-20 pracowników >20 pracowników 1-5 stanowisk 6-20 stanowisk > 20 stanowisk (n=591) (n=177) (n=205) (n=630) (n=180) (n=163) Millward Brown SMG/KRC miała miejsce u 40% respondentów, wśród których były VeriSign 53 51 50 61 48 58 66 firmy o profilach działalności takich jak 30 29 37 28 28 37 28 RapidSSL handel, media, usługi, o zróżnicowanej liczbie pracowników i stanowisk Certum 27 20 29 42 19 34 46 komputerowych. GeoTrust 23 23 23 25 21 27 28 Prawie 70% Thawte 21 20 19 28 18 24 31 GlobalSign 13 11 14 16 10 19 14 oszczędności Comodo 6 5 5 9 5 6 10 AlphaSSL 5 5 7 6 4 8 6 Koszty inwestycji w bezpieczeństwo danych stanowią średnio 1/3 kosztów, które może Inne 1 1 0 1 1 1 1 ponieść firma narażona na zwiększone Nie znam żadnej z powyższych 32 35 28 26 36 23 23 ryzyko utraty danych. Oprócz niższych Wynik istotnie NIŻSZY niż wynik OGÓŁEM Wynik istotnie WYŻSZY niż wynik OGÓŁEM wydatków na bezpieczeństwo w porównaniu z wydatkami na niwelowanie skutków utraty danych niebagatelne znaczenie biznesowe oszacować ryzyko związane z utratą użyte przez kogoś, kto będzie żądał ma również ryzyko utraty reputacji danych. Przy tym szacowaniu mogą nam zapłaty za ich zwrot. i wizerunku przez daną firmę. pomóc następujące zasady: • Dane oznaczają komunikację lub informację firmową. Może to być np. • Wszystkie dane mają wartość. treść rozmów VoIP, e-maili, etc. Co zatem należy zrobić w celu poprawy Niezależnie od tego, czy ich utrata • Trzeba założyć, że jawnie przesyłane bezpieczeństwa informacji w firmie? Przede może spowodować nikłe szkody lub dane mogą zostać łatwo przejęte i przy wszystkim trzeba najpierw jak najlepiej jest bez znaczenia, mogą one być zebranej odpowiedniej ilości mogą 19 © Webhosting.pl | 2011
- 20. dać całkiem wyraźny obraz działania wszystkim o poufność tych danych. W tym 2,27 miliona funtów. Dodajmy jeszcze do przykładowej organizacji. celu można wprowadzić np. szyfrowanie tego koszt usunięcia skutków incydentu. • Raz ukradzione dane mogą być SSL na stronie firmowej. Przyczynia się ono sprzedawane i używane wielokrotnie. do wzrostu zaufania ze strony potencjalnego • Kwestie bezpieczeństwa powinny klienta, świadczy o stabilnej pozycji Ważny jest balans raczej skupiać się na ochronie rynkowej danej firmy, daje przewagę „rzeczy wartościowych” niż na biznesową i zmniejsza współczynnik Obraz wyłaniający się z powyższej zapobieganiu incydentom, gdyż nie da porzuceń koszyka w przypadku sklepów treści ukazuje nam złożoność problemu się przewidzieć, w jaki sposób i kiedy internetowych. bezpieczeństwa oraz to, że należy do niego zostaną skradzione dane. podchodzić kompleksowo – począwszy Wprowadzenie szyfrowania SSL staje się od zasad, poprzez rozwiązania technologiczne, Można skorzystać także z pomocy jeszcze bardziej opłacalne w perspektywie a na czynniku ludzkim kończąc. Za firmę specjalisty lub też np. z kalkulatorów wzrostu świadomości użytkowników na skutecznie chronioną może zostać uznana ryzyka. Takie narzędzia pokazują, skutek coraz częściej publikowanych taka, która potrafi zachować względną że około milion złotych rocznie może informacji o atakach phishingowych. równowagę między zasadami bezpieczeństwa, stracić średniej wielkości przedsiębiorstwo, Obecność takiego certyfikatu udowadnia zabezpieczeniami technicznymi, a ciągłą jeśli nie zabezpieczy odpowiednio swoich tożsamość, zwiększa wiarygodność pracą z ludźmi w celu ich uwrażliwiania danych. Przykładowa symulacja została sprzedawcy i instytucji w Internecie. na zagrożenia związane z naruszeniem przeprowadzona dla firmy posiadającej bezpieczeństwa informatycznego. 160 komputerów o średniej płacy brutto 5 tys. złotych i rocznych przychodach Kary dla ignorantów? Z przytoczonych danych wynika również, ok. 4 mln złotych. że wiele jeszcze jest do zrobienia Kolejnym argumentem, że bezpieczeństwo w dziedzinie bezpieczeństwa, ale jednak się opłaca może być fakt, że np. Bezpieczeństwo to w Wielkiej Brytanii zostały wprowadzone z drugiej strony optymizmem nastraja fakt, że niechętnie, ale jednak coraz więcej również wizerunek kary finansowe dla firm, które dopuściły do wycieku wrażliwych danych swoich firm ujawnia do wiadomości publicznej incydenty związane z naruszeniem klientów. Taka niemiła okoliczność spotkała bezpieczeństwa ich danych. To również Od strony wizerunkowej dla użytkownika brytyjski oddział firmy Zurich Insurance, przyczynia się do wzrostu świadomości końcowego należy stworzyć obraz firmy która wskutek utraty danych 46 000 klientów zarówno firm, jak i użytkowników w tej rzetelnej, dbającej o dane klienta, a przede została ukarana grzywną w wysokości dziedzinie. 20 © Webhosting.pl | 2011
- 21. źródło: sxc.hu Bezpieczeństwo Sytuacja rozproszenia danych firmowych jest spowodowana między innymi zacieraniem się granicy między stałym na wynos miejscem wykonywania pracy, pracą „w terenie”, a domem. Komputery przeznaczone do pracy są również używane do dokonywania transakcji bankowych, W obliczu coraz szerszej gamy zagrożeń płynących robienia zakupów czy też rozwijania z Internetu coraz większej wagi nabierają takie kwestie, kontaktów towarzyskich z naciskiem jak bezpieczeństwo danych w służbowym laptopie, na nierozważne korzystanie z serwisów społecznościowych oraz różnych innych telefonie, czy też danych dostępnych online dla form rozrywki. pracownika. Jak je chronić? W efekcie istnieje duże ryzyko przyniesienia zainfekowanego komputera do miejsca pracy i wpięcia go do sieci firmowej. Z badań firmy Websense wynika, że prawie wszyscy pracownicy wykorzystują służbowe laptopy do celów prywatnych, ok. 80% podłącza je do Internetu poza biurem, a przeszło 70% korzysta z ich pomocą z bezprzewodowych punktów dostępu. Również korzystanie ze służbowego telefonu w celach prywatnych niesie ze sobą zagrożenie, zwłaszcza że dzisiejsze telefony z powodzeniem mogą aspirować do miana komputerów przenośnych. Wiele przedsiębiorstw przyznaje swoim pracownikom dostęp 21 © Webhosting.pl | 2011
- 22. do krytycznych aplikacji biznesowych Podpisanie przez pracownika stosownego Jednak nie można się ograniczać tylko właśnie za pomocą telefonu. Potencjalne oświadczenia o znajomości polityki do podpisania takiej polityki – w ramach naruszenie bezpieczeństwa, które może być bezpieczeństwa daje pracodawcy realizowanej strategii bezpieczeństwa trzeba spowodowane utratą telefonu służbowego, podstawę do jego ukarania w przypadku ciągle i konsekwentnie edukować personel, wydaje się mniej dostrzegalne niż utrata stwierdzonych uchybień oraz pozwala starając się przybliżyć mu jak najlepiej służbowego laptopa, choć niesie ze sobą stosować monitoring za pomocą naturę zagrożenia możliwie prostym równie poważne zagrożenie. wyspecjalizowanych programów (wg opinii i bezpośrednim językiem oraz na bieżąco Generalnego Inspektora Ochrony Danych dostosowywać tę politykę do zmieniającej Osobowych). się sytuacji. Środki zaradcze: Zasady bezpieczeństwa stosowane wobec polityka pracowników zabierających komputer do domu (1) bezpieczeństwa Jakie zasady bezpieczeństwa stosoują Państwo wobec osób posiadających własny laptop i zabierających go do domu? Wielkość zatrudnienia Liczba stanowisk komputerowych Z punktu widzenia pracodawcy pierwszym OGÓŁEM 1-5 pracowników 6-20 pracowników >20 pracowników 1-5 stanowisk 6-20 stanowisk > 20 stanowisk (n=591) (n=177) (n=205) (n=630) (n=180) (n=163) krokiem w celu minimalizacji ryzyka utraty cennych danych i zabezpieczenia się przed oprogramowanie antywirusowe 61 58 58 71 56 63 75 zagrożeniami na wspomnianej płaszczyźnie jest formalizacja odpowiednich zasad. firewall 38 37 36 43 37 34 48 Wśród nich powinny znaleźć się m.in. takie sformułowania jak: szyfrowanie danych 17 16 13 25 16 13 29 • wstrzymanie się od samodzielnego instalowania oprogramowania na inne 9 7 11 12 6 12 15 komputerze służbowym, • używanie komputera oraz Internetu brak zabezpieczeń 5 6 3 4 6 6 4 tylko w celach służbowych, • zakaz udostępniania komputera nie można wynosić sprzętu komputerowego poza teren 27 29 31 18 30 25 14 firmy użytkownikom spoza firmy, • regularna zmiana hasła z zachowanym nie wiem /trudno powiedzieć 5 4 5 5 5 4 6 wymaganym formatem. 22 © Webhosting.pl | 2011
- 23. Dodatkowo, w celu zapewnienia efektywności wdrożonej polityki Zasady bezpieczeństwa stosowane wobec konieczne jest pełne wsparcie zarządu pracowników zabierających komputer do domu (2) danej firmy dla działań podnoszących Jakie zasady bezpieczeństwa stosoują Państwo wobec osób posiadających własny laptop i zabierających go do domu? bezpieczeństwo również w postaci Czy w firmie doszło kiedykolwiek do utraty efektywnego egzekwowania kar dla danych? Profil działalności firmy wszystkich, niezależnie od zajmowanego OGÓŁEM Doszło Nie doszło Produkcja Handel Usługi Media i reklama (n=366) (n=607) (n=83) (n=206) (n=430) (n=108) stanowiska. oprogramowanie antywirusowe 61 66 57 57 52 60 75 Taka postawa może zastąpić wiele wysublimowanych rozwiązań firewall 38 41 37 33 32 42 40 technologicznych, które są kolejnym środkiem do poprawy bezpieczeństwa szyfrowanie danych 17 17 18 13 9 22 14 IT i automatycznego zabezpieczenia nieświadomego personelu. inne 9 8 9 7 7 10 7 Czego się używa brak zabezpieczeń 5 5 5 4 6 5 6 na co dzień? nie można wynosić sprzętu komputerowego poza teren 27 22 29 29 33 28 13 firmy nie wiem /trudno powiedzieć 5 4 5 10 5 4 4 Z badań MillwardBrown SMG/KRC na zlecenie D-Link Technology Trend wynika, Wynik istotnie NI ŻSZY niż wynik OGÓŁEM Wynik istotnie WYSZY niż wynik OGÓ Ż ŁEM że najczęściej stosowanymi rozwiązaniami technicznymi (realizującymi zasady Technologia udostępnia nam również a zabronienie podłączania nośników bezpieczeństwa wśród osób zabierających w omawianym zakresie blokadę USB danych, odtwarzaczy MP3 itp. firmowy laptop do domu) są: oprogramowanie z poziomu biosu lub za pomocą aplikacji antywirusowe (ok. 60%) oraz firewall typu Devicelock, szeroki zakres kontroli Coraz częściej spotykanym rozwiązaniem (ok. 40%), w przypadku jednej trzeciej nad podłączanymi do komputera jest również używanie aplikacji typu respondentów obowiązuje zakaz wynoszenia urządzeniami, np. poprzez zezwolenie na VPN SecureClient. Sprawia ono, że bez sprzętu komputerowego poza teren firmy. korzystanie z myszy, klawiatury, drukarki, odpowiedniego tokena dostęp prywatny do 23 © Webhosting.pl | 2011
- 24. Internetu jest zabroniony. To rozwiązanie jest na drugim miejscu wśród najczęściej Dostęp online do danych firmowych stosowanych zabezpieczeń zaraz Czy pracownicy w Pańskiej firmie mają dostęp online do danych firmowych (np. serwery sieciowe, strony WWW). po panelach logowania z wykorzystaniem Jeśli tak, to do jakich? certyfikatów SSL. Tak, za pomocą panelów logowania z wykorzystaniem certyfikatów SSL Tak, za pomocą VPN Tak, chronione loginem i hasłem, bez certyfikatu ssl (https: Wirtualizacja, czyli Tak, ale nie stosujemy żadnych zabezpieczeń (wystarczy wejść na znaną pracownikowi stronę www) Pracownicy nie mają dostępu online Nie wiem / trudno powiedzieć separacja zasobów Ogółem (n=973) 17 15 14 4 45 5 zatrudnienia 1-5 pracowników (n=591) Wielkość 16 8 14 5 51 5 Wirtualizacja zasobów firmowych niesie 6-20 pracowników (n=177) 20 17 16 4 41 2 ze sobą konkretne korzyści z perspektywy > 20 pracowników (n=205) 15 31 13 2 33 6 bezpieczeństwa, gdyż pozwala utworzyć komputerowych stanowisk bezpieczną przestrzeń na komputerze 1-5 stanowisk (n=630) Liczba 16 7 14 5 53 5 osobistym lub telefonie. Pracownicy 6-20 stanowisk (n=180) 22 22 18 4 31 3 uzyskują dostęp do bezpiecznego, > 20 stanowisk (n=163) 13 36 12 2 30 6 kiedykolwiek do wirtualnego zestawu aplikacji utraty danych? Czy w firmie (Q18a) doszło Doszło (n=366) zlokalizowanych na serwerach firmowych. 16 20 15 7 39 3 Nie doszło (n=607) 17 12 14 3 49 6 Dzięki takiemu rozwiązaniu firmowa sieć jest chroniona przed infekcjami z komputerów pracowników oraz przed kopiowaniem popularność tej gałęzi rozwoju niesie ze sobą i przechowywaniem różnej maści informacji wrażliwych poza obszarem zabezpieczonym. ryzyko większej liczby ataków i zagrożeń, ale w tym przypadku odbicie piłki Dostęp fizycznie Rosnąca popularność wirtualizacji pozwala stwierdzić, że coraz więcej firm będzie leży po stronie firm oferujących tego typu rozwiązania. zabroniony w stanie uwolnić się od powiązań między sprzętem a aplikacjami i zezwalać coraz Również wirtualizacja po stronie Jednym z ostatnich środków na linii walki większej liczbie użytkowników na pracę służbowych telefonów komórkowych z zagrożeniami dla przenoszonych przez z własnym sprzętem. Oczywiście, pozostaje niemałym wyzwaniem. pracowników danych może być fizyczne 24 © Webhosting.pl | 2011